Datenschutzgesetz Schweiz: Pflichten für KMU
Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023 ohne Übergangsfrist. Die sieben Pflichten, wer haftet — und wo die KMU-Ausnahme endet.
Kurz beantwortet
Das revidierte Schweizer Datenschutzgesetz (revDSG, oft nDSG) gilt seit dem 1. September 2023 ohne Übergangsfrist für jedes Unternehmen, das Personendaten bearbeitet — unabhängig von der Grösse. Die zentralen Pflichten sind Bearbeitungsverzeichnis, Informationspflicht, Datensicherheit, Privacy by Design, Folgenabschätzung bei hohem Risiko und die Meldung von Datensicherheitsverletzungen an den EDÖB. Bussen bis 250 000 Franken richten sich gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen.
Seit wann das Gesetz gilt und für wen
Das totalrevidierte Bundesgesetz über den Datenschutz ist am 1. September 2023 in Kraft getreten. Anders als bei der europäischen DSGVO gab es keine Übergangsfrist: Die Pflichten galten vom ersten Tag an vollständig.
Betroffen ist jedes Unternehmen, das Personendaten bearbeitet — vom Einzelunternehmen bis zum Konzern. Eine Untergrenze nach Mitarbeitendenzahl oder Umsatz gibt es nicht. Wer Kundenadressen führt, Bewerbungen entgegennimmt oder eine Lohnbuchhaltung betreibt, fällt darunter.
Eine wesentliche Änderung gegenüber dem alten Recht betrifft den Schutzbereich: Das Gesetz schützt heute nur noch Daten natürlicher Personen. Daten juristischer Personen — also von Firmen — sind nicht mehr erfasst. Für viele Unternehmen verkleinert das den Anwendungsbereich spürbar.
Erweitert wurde dagegen die Liste der besonders schützenswerten Personendaten. Sie umfasst neben Angaben zu Religion, politischen Ansichten, Gesundheit, Intimsphäre und Strafverfolgung neu auch genetische Daten und biometrische Daten, die eine Person eindeutig identifizieren. Wer Fingerabdruck- oder Gesichtserkennung für die Zeiterfassung einsetzt, bearbeitet damit besonders schützenswerte Daten — mit allen Folgen für Einwilligung, Folgenabschätzung und Sicherheit.
Die sieben Pflichten im Überblick
| Pflicht | Grundlage | Was das konkret heisst |
|---|---|---|
| Verzeichnis der Bearbeitungstätigkeiten | Art. 12 | Jede Bearbeitung dokumentieren: Zweck, Datenkategorien, Empfänger, Aufbewahrung, Sicherheitsmassnahmen |
| Informationspflicht | Art. 19 | Betroffene bei der Beschaffung informieren — Identität, Zweck, Empfänger. In der Praxis: die Datenschutzerklärung |
| Datensicherheit | Art. 8 | Angemessene technische und organisatorische Massnahmen, Mindestanforderungen per Verordnung |
| Privacy by Design und by Default | Art. 7 | Datenschutz ab der Planung mitdenken, Voreinstellungen auf das nötige Mindestmass |
| Datenschutz-Folgenabschätzung | Art. 22 | Vorgängige Abschätzung, wenn eine Bearbeitung ein hohes Risiko mit sich bringt |
| Meldung von Verletzungen der Datensicherheit | Art. 24 | Meldung an den EDÖB „so rasch als möglich", wenn ein hohes Risiko droht |
| Auskunftsrecht bedienen | Art. 25 | Betroffene können Auskunft verlangen — in der Regel kostenlos und innert 30 Tagen |
Bemerkenswert an Artikel 24: Das Gesetz nennt keine Frist in Stunden. Wo die DSGVO 72 Stunden vorschreibt, verlangt das revDSG eine Meldung „so rasch als möglich". Das ist keine Erleichterung, sondern eine Verschiebung der Beweislast — im Ernstfall müssen Sie begründen können, warum Ihr Zeitpunkt der rasch möglichste war. Ohne vorbereiteten Meldeprozess gelingt das selten.
Was viele übersehen: Die Busse trifft eine Person, nicht die Firma
Das ist der wichtigste Unterschied zur DSGVO — und der am häufigsten falsch dargestellte.
Die Artikel 60 bis 62 sehen Bussen bis zu 250 000 Franken vor. Adressat ist aber nicht das Unternehmen, sondern die private Person, die vorsätzlich gegen die Pflichten verstösst. In der Praxis ist das die Person, die den Entscheid zu verantworten hat: Geschäftsführung, Bereichsleitung, teilweise IT-Verantwortliche.
Drei Einschränkungen gehören zum vollständigen Bild:
- Nur bei Vorsatz. Fahrlässige Verstösse sind nicht strafbar. Wer eine Pflicht schlicht übersehen hat, macht sich nach diesen Bestimmungen nicht strafbar.
- Nur auf Antrag. Es handelt sich um Antragsdelikte. Ohne Strafantrag einer betroffenen Person läuft kein Verfahren.
- Ersatzweise das Unternehmen. Nach Artikel 64 Absatz 2 kann die Behörde bei einer Busse bis 50 000 Franken darauf verzichten, die verantwortliche Person zu ermitteln, und stattdessen den Geschäftsbetrieb büssen — wenn die Ermittlung unverhältnismässig wäre.
Die verbreitete Aussage „im Datenschutz drohen Millionenbussen" stimmt für die Schweiz also nicht. Was tatsächlich droht, ist unangenehmer: eine persönliche Strafe für eine namentlich bestimmte Person aus der Führung. Genau deshalb ist Datenschutz hier kein reines IT-Thema.
Das Bearbeitungsverzeichnis und die Ausnahme für kleine Unternehmen
Artikel 12 Absatz 5 sieht Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitenden vor. Diese Ausnahme wird häufig zu weit ausgelegt.
Sie greift nur, wenn die Datenbearbeitung ein geringes Risiko von Persönlichkeitsverletzungen mit sich bringt. Zwei Fälle schliessen sie regelmässig aus: die umfangreiche Bearbeitung besonders schützenswerter Personendaten und Profiling mit hohem Risiko.
Für die Mitarbeitendenzahl gilt zudem ein Stichtag: Artikel 24 der Datenschutzverordnung stellt auf Unternehmen ab, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen. Wer die Schwelle unterjährig überschreitet, fällt erst am folgenden 1. Januar unter die Pflicht.
Ein Treuhandbüro mit zwölf Mitarbeitenden, das Lohn- und Gesundheitsdaten bearbeitet, fällt damit nicht unter die Ausnahme. Ein Maschinenbauer mit 200 Mitarbeitenden und reinen Kundenstammdaten sehr wohl.
Unser Rat ist trotzdem, das Verzeichnis in jedem Fall zu führen. Nicht wegen der Pflicht, sondern weil es die Grundlage für alles andere ist: Ohne Übersicht, welche Daten wo liegen, lassen sich weder Auskunftsbegehren beantworten noch Löschfristen einhalten noch eine Datenpanne beurteilen. Der Aufwand für ein sauberes Erstverzeichnis liegt bei einem KMU typischerweise bei ein bis zwei Tagen.
Wie Sie dabei konkret vorgehen, welche Angaben in jede Zeile gehören und wie fein Sie schneiden sollten, steht in der ausführlichen Anleitung zum Bearbeitungsverzeichnis.
DSG oder DSGVO — für die meisten gilt beides
Eine der häufigsten Fragen, und die Antwort ist selten ein Entweder-oder.
Das revDSG gilt für Sie, sobald Sie in der Schweiz Personendaten bearbeiten. Die DSGVO gilt zusätzlich, wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten — etwa über einen Webshop, der nach Deutschland liefert, oder Analysewerkzeuge, die EU-Besucher erfassen.
Die gute Nachricht: Das revDSG wurde bewusst an die DSGVO angenähert, damit die Schweiz ihren Angemessenheitsbeschluss behält. Wer DSGVO-konform arbeitet, erfüllt einen grossen Teil des revDSG bereits. Die praktisch wichtigsten Abweichungen:
| Thema | revDSG | DSGVO |
|---|---|---|
| Sanktion | Busse bis 250 000 gegen Personen | Bussgeld bis 20 Mio. € oder 4 % Umsatz gegen Unternehmen |
| Verschulden | nur Vorsatz strafbar | auch Fahrlässigkeit |
| Meldefrist bei Datenpanne | „so rasch als möglich" | 72 Stunden |
| Datenschutzbeauftragter | freiwillig | in bestimmten Fällen Pflicht |
| Verfahren | Antragsdelikt | Aufsichtsbehörde von Amtes wegen |
Datenschutzberater: freiwillig, aber mit einem konkreten Vorteil
Anders als die DSGVO kennt das revDSG keine Pflicht zur Ernennung. Artikel 10 sagt ausdrücklich, private Verantwortliche „können" eine Datenschutzberaterin oder einen Datenschutzberater ernennen.
Wer es dennoch tut, erhält einen praktischen Vorteil: Nach Artikel 23 Absatz 4 entfällt die Pflicht, den EDÖB bei einer Datenschutz-Folgenabschätzung mit verbleibendem hohem Risiko zu konsultieren — vorausgesetzt, die Beraterin oder der Berater ist fachlich unabhängig und weisungsungebunden, verfügt über die nötigen Fachkenntnisse und übt keine Tätigkeit aus, die mit der Funktion in Konflikt steht.
Genau diese Unabhängigkeit ist intern schwer herzustellen: Wer die IT verantwortet, kann sie nicht unbefangen beurteilen. Das ist der sachliche Grund, aus dem viele KMU die Funktion extern vergeben — nicht Bequemlichkeit, sondern eine Anforderung, die intern kaum erfüllbar ist.
In welcher Reihenfolge vorgehen
Für ein KMU, das bei null beginnt, hat sich diese Reihenfolge bewährt:
- Bestandsaufnahme. Welche Personendaten bearbeiten wir, wo liegen sie, wer hat Zugriff, welche Dienstleister sind beteiligt? Das ist die aufwendigste Etappe und die Grundlage für alles Weitere.
- Bearbeitungsverzeichnis erstellen. Aus der Bestandsaufnahme wird ein strukturiertes Verzeichnis nach Artikel 12.
- Datenschutzerklärung überarbeiten. Sie ist die sichtbare Erfüllung der Informationspflicht nach Artikel 19 — und das Erste, was eine betroffene Person prüft.
- Auftragsbearbeitung regeln. Verträge mit Cloud-Anbietern, Treuhand, Lohnbuchhaltung und IT-Dienstleistern prüfen und wo nötig ergänzen.
- Datenbekanntgabe ins Ausland klären. Bei Anbietern ausserhalb der Schweiz und des EWR braucht es eine Grundlage nach Artikel 16 und 17.
- Meldeprozess für Datenpannen festlegen. Wer entscheidet, wer meldet, in welcher Frist, an wen. Schriftlich, vor dem Ernstfall.
- Mitarbeitende schulen. Die meisten Verstösse entstehen nicht in der IT, sondern im Arbeitsalltag.
Für die Schritte 1 bis 3 rechnen die meisten KMU mit drei bis fünf Arbeitstagen, wenn sie strukturiert vorgehen und nicht bei jedem Punkt neu überlegen, wie ein Dokument auszusehen hat.
Wer einen dieser Schritte ohnehin plant, sollte prüfen, ob sich der Aufwand mit einem Informationssicherheits-Managementsystem verbinden lässt: Bestandsaufnahme, Zugriffskonzept, Dienstleisterprüfung und Meldeprozess braucht ISO 27001 ebenfalls. Zweimal dieselbe Arbeit zu machen, ist der häufigste vermeidbare Aufwand in diesem Bereich.
Dieser Beitrag gibt den Stand von September 2026 wieder und ersetzt keine Rechtsberatung. Massgebend ist der Gesetzestext; für die Beurteilung eines konkreten Sachverhalts ziehen Sie bitte eine Fachperson bei.
